MCP Protokolünde Kritik Açık: Yapay Zeka Ajanları Arasında Zararlı Komutlar Yayılabiliyor

Yapay zeka ajanlarının kuruluşlarda yaygınlaşmasıyla birlikte yeni bir güvenlik tehdidi ortaya çıktı. Son beş ayda Google ve dört başka kuruluş, ajanlar arasında zararlı komutların yayılmasını sağlayan ortak bir açığı kamuoyuna duyurdular. Bu açıkların temelinde Model Context Protocol (MCP) adlı protokolün güven boşlukları yatıyor. Bağımsız araştırmacı Syed Anas Mohiuddin, Google, JP Morgan Chase, Weviate, Rapid7 ve Fransa Hükümetinin dijital direktörlüğü gibi kuruluşlardaki ajanları test ederek bu açıkları bulmuştur.

Protokoller Arasındaki Güven Boşluğu

Saldırganlar ilk olarak bir aja başarılı şekilde zararlı komut enjekte ediyor. Burada önemli nokta, bu ajanın iç ağ içinde kullanılan diğer ajanlarına güvenmesi: eğer bir ajandan iş talimati alırsa bunu sorgulamadan yürütüyor. Pek çok özel amaçlı ajan, doğal olarak alması gereken koruma mekanizmalarını eksik veya tamamen yoksun halde kullanılıyor. Böylece LLM tarafından reddedilecek bir talimat, doğru ajana yönlendirilirse başarılı oluyor. Google'ın Database MCP Toolbox'ında bulanan açık, HTTP istemcisinin URL yönlendirmelerini kontrol etmemesi nedeniyle ortaya çıktı. Bu, saldırganın iç ağa yetkisiz istekler göndermesine (Server-Side Request Forgery) yol açabiliyordu.

Mimari Tasarım Sorunu

Araştırmacılar, bu saldırı tekniğine 'protokol pivoting' adını verdi; çünkü exploit bir protokol üzerinden başlayıp, başka bir protokole (örneğin Google'ın Agent-to-Agent yani A2A protokolü) taşınarak çalışıyor. MCP protokolü oldukça yeni olmasına rağmen, kuruluşlar bunu henüz yeterince sınanmadan, hatta test edilmeden yaygın şekilde kullanmaya başladılar. Bu süreçte önemli bir güvenlik prensibi olan 'sıfır güven' modeli terk edildi. Sıfır güven modelinde, iç ağ tasarımında en az bir düğümün ele geçirilebileceği varsayılır ve bu nedenle işlemler yapılmadan önce her düğüm diğerlerinden yetki kontrol etmelidir.

Neden önemli?

Bu açık, yapay zeka ajanlarının dış dünya ile değil, kuruluşların kendi iç ağlarında birbirleriyle iletişim kurduğu senaryolarda ortaya çıkıyor. Yani tehdit İnternet'ten değil, kuruluşun kendi ağından kaynaklanabiliyor. Güvenlik uzmanları, bu sorunun kökeninde 'girdi doğrulama' gibi eski ve kanıtlanmış çözümlerin göz ardı edilmesi yatıyor. Geliştirici ve güvenlik profesyonelleri için dersler açık: ajanlardan gelen her veri, dış kaynaklardan gelen girdi kadar şüpheli şekilde ele alınmalı ve MCP gibi yeni protokoller, standardlar olarak kabul edilmeden önce kapsamlı güvenlik testlerinden geçmelidir.